Personlig VPN eller pakketunnel: to VPN-modeller for iPhone
Den ene modellen konfigurerer iOS sin innebygde IPsec eller IKEv2; den andre leverer en leverandør som implementerer sin egen protokoll. Produktnavnet sier ikke hvilken du fikk.
To iPhone-apper kan begge legge inn en VPN-oppføring i Innstillinger, begge kalle seg VPN-klienter og nesten ikke dele noen implementasjon. Apple kaller en av disse integrasjonene Personlig VPN, og det navnet skaper mesteparten av forvirringen. Personlig VPN er et API for å lage og administrere konfigurasjoner som bruker den innebygde IPsec- eller IKEv2-implementasjonen. En pakketunnelleverandør er den andre modellen: appen leverer en utvidelse som implementerer klientsiden av sin egen protokoll. Alt folk utleder fra etiketten etterpå, fra chiffere til eierskap til hvorvidt telefonen må administreres, er slutning og ikke utsagn.
Hvem implementerer tunnelen
Delingen avgjør hvem som er ansvarlig når noe går i stykker. Med innebygd IPsec eller IKEv2 eier iOS tunnelens tilstandsmaskin, og appen eier konfigurasjonen og knappene. Med en leverandør eier appen begge, så en protokollfeil blir en appoppdatering i stedet for en operativsystemoppdatering.
Sammenligningen er kort hvis du spør hvem som implementerer protokollen.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
dokumentasjonen for Personlig VPN nevner også den eksplisitte brukerautorisasjonsforespørselen når en app lagrer en konfigurasjon for første gang, noe som hører til den modellen og ikke til VPN-apper generelt.
To påstander om etiketten som det er verdt å legge bort
Den første er at Personlig VPN velger en chiffer. Det gjør den ikke; suiten som forhandles fram kommer fra protokollen og konfigurasjonen, og en Personlig-etikett sier ingenting om hvilken du får. Den andre er at Personlig VPN antyder en proxy eller en begrenset tunnel. Det antyder innebygd IPsec eller IKEv2, som er en full tunnel når rutingen sier det.
Tilstedeværelsen av en app er derfor ikke bevis om trådprotokollen. En tredjepartsklient som snakker WireGuard eller OpenVPN, er konstruksjonsmessig en leverandørapp, fordi iOS ikke implementerer disse protokollene nativt.
Hvorfor bedriftsformuleringen villeder
Apples dokumentasjon klassifiserer NETunnelProviderManager-konfigurasjoner som vanlige bedrifts-VPN-konfigurasjoner. Den formuleringen er en API-kategori, og den skyver folk mot to motsatte feil: å anta at en forbrukerapp ikke kan bruke leverandørmodellen, og å anta at telefonen må være under tilsyn for det. Ingen av delene følger. Forbrukerapper leverer leverandører rutinemessig, og tilsyn er et eget spørsmål om hvem som kan håndheve policy.
Administrasjonseierskap er det fjerde spørsmålet, og det er uavhengig av begge modellene. En konfigurasjon som installeres av en organisasjon, bærer sin egen identitet, trafikkomfang og livssyklusregler, og de reiser med profilen og ikke med appen som tilfeldigvis er installert. Les dem sammen med integrasjonsmodellen, fordi en administrert innebygd profil og en uadministrert leverandørprofil kan ligge på samme telefon samtidig.
Sjekk beviset i stedet for skjermbildet
Skjermbilder er det dårligste beviset som finnes, fordi grupperingen i Innstillinger endres mellom utgivelser. En administrert profil navngir sin egen nyttelasttype: en innebygd profil erklærer en VPN-type som IKEv2 eller IPsec, mens en leverandørprofil bærer en undertype som navngir leverandørens bundle-id. Det er kontrollerbart på enheten foran deg, og det overlever neste redesign.
For selve appen svarer klassen som brukes på det samme spørsmålet fra den andre siden: konfigurasjonsobjekter fra Personlig VPN-API-et, eller en leverandørbehandler og utvidelsen dens.
Velg deretter etter hva operatøren faktisk leverer. Der det finnes en kompatibel innebygd profil, har den innebygde veien færre bevegelige deler og én ting mindre å oppdatere. Der tjenesten trenger en protokoll iOS ikke leverer, er en leverandørapp det eneste alternativet, og utgivelsestakten blir en del av risikoen din.
Ta vare på posten sammen med tilkoblingen
Fest autentisering og ressurspolicy til tilkoblingsposten i stedet for til appen, slik at en ominstallasjon ikke tar med seg autorisasjonsmodellen. Den posten er også det en støtteingeniør trenger når tunnelen kommer opp og ingenting annet virker.
Spørsmålet som er verdt å stille til slutt, er ikke hvilken modell som er bedre. Det er hvilken modell operatøren din støtter, og hvilken du kan feilsøke klokken to om natten med verktøyene du faktisk har.